En 2024, la Agencia Española de Protección de Datos (AEPD) ha continuado con su política de endurecimiento de multas en materia de protección de datos. En total, ha impuesto 242 multas que suman más de 27 millones de euros, consolidándose como una de las autoridades de control más activas en Europa. Este año, el 77% de los 316 procedimientos sancionadores abiertos concluyeron con la imposición de una sanción económica, cifras que podrían aumentar cuando se publiquen todas las resoluciones y la memoria anual en abril.
Entre las multas más severas destaca la impuesta a Enérgya-VM, del Grupo Villar Mir, con una sanción de 5 millones de euros debido a irregularidades en el tratamiento de datos personales y la falta de medidas adecuadas para prevenir contrataciones fraudulentas. Generali también recibió una multa de igual cuantía, consolidando la tendencia de sancionar con importes millonarios a grandes empresas del sector financiero, energético y telecomunicaciones.
Por otro lado, las pymes y autónomos también han estado en el punto de mira de la AEPD. Un hotel fue sancionado con 1.500 euros por fotocopiar el DNI de sus clientes sin una base legal clara, un caso que ilustra cómo incluso las infracciones menores pueden acarrear consecuencias económicas.
Sectores más sancionados
Según los expertos, las comercializadoras de energía y los operadores de telecomunicaciones continúan siendo los sectores más propensos a infringir la normativa de protección de datos. La razón principal es la dificultad de equilibrar la atención al cliente con medidas de verificación de identidad y la gestión de bases de datos por terceros.
El sector financiero también ha recibido importantes sanciones, como la multa de 1,2 millones de euros a CaixaBank por condicionar la apertura de cuentas bancarias a la cesión de datos personales.
Sanciones en los tribunales: Vodafone y Mercadona
Muchas empresas han recurrido las sanciones impuestas por la AEPD. La Audiencia Nacional ha reducido algunas de estas multas tras detectar errores de procedimiento o falta de proporcionalidad. Ejemplo de ello es el caso de Mercadona, cuya multa de 170.000 euros fue reducida a 7.000 euros tras considerarse que la AEPD había sobreestimado el impacto de la infracción.
Otro caso destacado es el de Vodafone, que en 2021 fue multada con 8,5 millones de euros por transferencias internacionales de datos y envíos masivos de publicidad sin consentimiento. La Audiencia Nacional rebajó la sanción a 4,5 millones de euros al considerar que la agencia no había justificado adecuadamente la gravedad de la infracción.
Uso indebido de WhatsApp
En 2024, la Agencia Española de Protección de Datos (AEPD) también ha intensificado su vigilancia sobre el uso indebido de WhatsApp en el ámbito empresarial, imponiendo sanciones por la inclusión de personas en grupos sin su consentimiento y la difusión no autorizada de documentos personales.
Un caso representativo fue la multa de 3.000 euros a la empresa Ilurobox S.L., que añadió a un usuario a un chat con 150 personas sin su permiso, exponiendo su número de teléfono y otros datos personales. Otro ejemplo es la sanción impuesta a una abogada que envió sentencias judiciales con información personal por WhatsApp para promocionar sus servicios, infringiendo así el Reglamento General de Protección de Datos (RGPD).
Además, la AEPD multó con 5.000 euros a una empresa que compartió una notificación de embargo de nómina de una empleada con terceros a través de esta aplicación de mensajería.
Tendencias para 2025
Para este año, se espera que la actividad sancionadora de la AEPD se enfoque en tres áreas clave:
- Inteligencia artificial: Supervisión de algoritmos que recopilan y procesan datos personales.
- Protección de menores en internet: Mayor control sobre redes sociales y plataformas de videojuegos.
- Ciberseguridad: Medidas más estrictas para evitar brechas de seguridad en empresas y administraciones públicas.
Además, el registro de viajeros podría convertirse en una nueva fuente de conflictos legales. La normativa exige a las empresas del sector turístico recopilar hasta 42 datos de los usuarios, lo que podría chocar con el derecho a la privacidad.
